Polonia – Pacchetti software e sistemi di informazione – Wdrożenie zintegrowanej architektury cyberbezpieczeństwa IT i OT wraz z przygotowaniem organizacyjnym Zamawiającego w ramach projektu grantowego „Cyberbezpieczne Wodociągi

Oggetto dell'appalto è l'implementazione di un'architettura integrata di cybersecurity IT e OT, insieme alla preparazione organizzativa del committente, nel quadro del progetto di finanziamento "Cyberbezpieczne Wodociągi". 2. Agendo in base alla legge del 16 aprile 1993 sulla lotta alla concorrenza sleale (GU. z 2026 r. poz. 85), il committente esclude la pubblicità di parte del Dossier degli Appalti Pubblici (DAP). Sono escluse le informazioni tecniche e organizzative riguardanti le lacune di competenze e organizzative, le esigenze del committente in materia di cybersecurity, sistemi informatici e meccanismi di sicurezza applicati, che costituiscono segreti aziendali e la cui divulgazione potrebbe aumentare il rischio di violazione della cybersecurity, in particolare facilitando l'identificazione dell'architettura dei sistemi o delle potenziali vulnerabilità, o delle tecniche e tattiche di sicurezza dell'infrastruttura. L'ambito dell'esclusione della pubblicità è limitato alle informazioni necessarie per proteggere la sicurezza dell'azienda, inclusi i sistemi informatici, e non viola i principi di concorrenza leale o di trattamento equo dei contraenti, garantendo al contempo ai contraenti l'accesso alle informazioni necessarie per preparare le offerte. L'oggetto dell'appalto comprende un modello coerente di sicurezza che unisce soluzioni tecniche, organizzative e di competenza. Sebbene gli elementi individuali possano avere un carattere generale, la loro combinazione e il riferimento all'ambiente reale del committente portano alla rivelazione dell'architettura di sicurezza complessiva. La divulgazione di una tale visione consolidata potrebbe permettere a persone non autorizzate di identificare l'architettura di sicurezza, i modi di risposta agli incidenti, le interconnessioni tra i sistemi e le potenziali debolezze, aumentando così il rischio di un attacco efficace. Secondo l'approccio basato su MITRE ATT&CK, la conoscenza dei meccanismi di protezione, delle procedure organizzative e dei comportamenti degli utenti può essere utilizzata in diverse fasi della catena di attacco, inclusa la fase di preparazione, riconoscimento e escalation dell'accesso. Il committente sottolinea che l'oggetto dell'appalto riguarda i sistemi rilevanti per garantire la continuità dei servizi pubblici e che il suo obiettivo è raggiungere un livello operativo reale di resilienza contro le minacce informatiche. L'esclusione della pubblicità è stata applicata come misura proporzionata, finalizzata a proteggere la sicurezza del committente, garantendo al contempo ai contraenti l'accesso alla documentazione completa su base equa, previa soddisfazione dei requisiti di riservatezza. 3. La parte pubblica del DAP costituisce l'Allegato n. 8 al SWZ. 4. La parte non pubblica del DAP, costituita dall'Allegato n. 9 al SWZ, sarà resa disponibile al contraente che presenterà una richiesta adeguata insieme a una dichiarazione di riservatezza, il cui modello è l'Allegato n. 10 al SWZ, secondo le modalità descritte di seguito. 5. Il termine per la presentazione della richiesta di cui al punto 4 scade 7 giorni prima della data stabilita per la presentazione delle offerte. Le richieste presentate dopo tale termine possono essere lasciate senza risposta dal committente. 6. La richiesta di accesso alla parte non pubblica del DAP può essere presentata esclusivamente dal contraente che dimostri l'applicazione di misure organizzative e tecniche che garantiscano la protezione delle informazioni riservate. Il committente considera soddisfatto tale requisito, in particolare, il possesso di un sistema di gestione della sicurezza delle informazioni conforme alla norma ISO/IEC 27001 o equivalente, certificato da un'entità di certificazione accreditata, o il possesso di un valido certificato di sicurezza industriale di qualsiasi livello o altro documento rilasciato da entità indipendenti che confermi l'applicazione di misure organizzative e tecniche per la protezione delle informazioni per qualsiasi settore, ad esempio un valido certificato TISAX (livello minimo AL2) o un rapporto di audit SOC 2 Type II aggiornato. Il contraente allega alla richiesta di cui al punto 4 il certificato/documento conforme all'originale, debitamente autenticato. 7. La richiesta, insieme alla dichiarazione di riservatezza, deve essere firmata da una persona autorizzata a rappresentare il contraente o da un procuratore debitamente autorizzato. In caso di azione da parte del procuratore, alla richiesta deve essere allegata la procura appropriata. 8. La richiesta, firmata con firma elettronica qualificata, deve essere presentata tramite la piattaforma di acquisto Open Nexsus non oltre 7 giorni prima della scadenza per la presentazione delle offerte, con la riserva che il committente non è responsabile per l'impossibilità di preparare un'offerta in caso di presentazione della richiesta in un termine che non consenta di prendere visione della documentazione e di redigere un'offerta prima della scadenza per la presentazione delle offerte. 9. Il committente renderà disponibile la parte non pubblica del DAP dopo aver ricevuto una richiesta completa, presentata in conformità con il SWZ. In caso di rilevazione di difetti formali nella richiesta, il committente può invitare il contraente a correggerli entro un termine specificato. La disponibilità della parte non pubblica del DAP avverrà dopo la corretta correzione dei difetti formali. 10. Le informazioni contenute nella parte non pubblica del DAP possono essere utilizzate esclusivamente per la preparazione e la presentazione di un'offerta in questa procedura. È vietata la loro divulgazione a terzi, ad eccezione delle persone coinvolte dal contraente nella preparazione dell'offerta, a condizione che queste persone siano obbligate a mantenere la riservatezza in almeno la stessa misura stabilita nella dichiarazione del contraente. Il contraente è responsabile per la violazione dell'obbligo di riservatezza da parte delle persone a cui ha fornito le informazioni oggetto della parte non pubblica del DAP. 11. Gli obblighi specifici del contraente in relazione all'esecuzione dell'oggetto dell'appalto sono definiti dalle disposizioni progettate del contratto per l'appalto pubblico - Allegato n. 1 alla Specifica delle Condizioni dell'Appalto. 12. Il committente non amm